SIEM 之上的 AI：為什麼通用 AI 不足以應付資安運作
發布於： Eventus Engineering Blog（eventus.blog）
作者： Eventus Technologies 工程團隊
星期一早上 9:02，對外公開的防火牆開始記錄連接埠掃描。
到了 9:05，SIEM 已經產生 5,000 個告警。IT 負責人打開儀表板，看見一整面紅色，於是問了每個小型資安團隊最後都會問的問題：
「我們不能直接在 SIEM 上面加一層 AI，讓它告訴我們哪些事情重要嗎？」
這是個合理的問題。事實上，在 SIEM 之上加入 AI 確實是正確方向。現有的 SIEM 已經收集事件、套用偵測規則並保存證據；AI 層可以把這些輸出轉化為優先順序、解釋與下一步行動。
這正是 SIEM+ 的定位：為已經使用 SIEM、希望改善告警分流與安全態勢可視性的團隊，提供不需要替換既有 SIEM 的 AI 資安覆蓋層。
真正重要的是，你加入的是什麼樣的 AI 層。
通用聊天機器人、一次性的 LLM 腳本，或鬆散連接的 AI copilot，可能可以對單一告警產生令人印象深刻的回答。但資安運作需要更持久的系統：它必須記住脈絡、分組相關證據、遵守資料邊界、追蹤長期態勢，並產生人員能採取行動、日後也能提出佐證的輸出。
把 AI 指向 SIEM：最吸引人的想法
通用 AI 的吸引力很明顯。
大多數企業已經有 SIEM，也可能已經保留多年的日誌、告警規則、儀表板與整合。加入聊天機器人看起來可以避免再購買一套工具。工程師匯出幾筆事件、貼入 prompt，接著詢問：
- 這是真正的威脅嗎？
- 這個事件代表什麼？
- 它影響哪一項合規控制？
- 我們下一步應該做什麼？
針對單一事件，這種方式確實可能很有用。LLM 擅長翻譯術語、摘要技術證據，以及提出調查方向。
它可以把 4625: failed logon 轉成 IT 通才看得懂的句子，也能解釋不可能旅行偵測為何重要，並且比人工搜尋供應商文件更快產生修復建議。
這讓 SIEM AI 聽起來很簡單：把既有告警傳給模型，讓模型替你降低雜訊。
問題在於，資安運作不是一連串彼此獨立的問題，而是持續、有狀態的流程，涉及不完整證據、不斷變化的環境、多位分析師、稽核要求，以及可能影響正式環境的行動。
這正是通用 AI 開始失效的地方。
通用 AI 會在哪裡失效
1. 無法可靠記住不同告警與班次之間的脈絡
聊天工作階段也許能理解眼前的事件，但通常不會維護「昨天發生了什麼」、「分析師已經調查了什麼」或「哪個修復步驟已完成」的持久結構化歷史。
假設一個使用者帳號在三天內產生幾個低嚴重性事件：從新國家登入、多次 MFA 失敗、從陌生 ASN 成功登入，以及從從未關聯過的裝置更新 token。
單獨看，每一筆都未必足以定案；放在同一條時間軸上，卻可能代表需要立即處理的身分事件。
如果 AI 每次只收到一個獨立 prompt，它可能準確描述每一筆告警，卻錯過它們彼此的關係。下一位分析師或下一個班次仍然必須手動重建案例。
真正的 AI 資安覆蓋層 需要持久化的案例、時間軸、分析師決策與修復狀態。它應該知道告警是新的、已調查的、屬於另一個案例，還是已解決。
2. Context window 與真實日誌量不相稱
SIEM 不會只產生五個事件，而是數千甚至數百萬個事件。
你不能把 50,000 筆事件貼進 prompt，然後期待模型可靠找出重要關係。即使技術上塞得進 context window，結果也可能昂貴、緩慢、難以重現，並且讓無關資料淹沒真正的訊號。
常見的做法是先摘要日誌，但這又引入另一個問題：什麼被省略了？看似不重要的事件，可能正是把帳號遭入侵、特權操作與持久化行為串起來的細節。
穩健的 AI-on-SIEM 架構需要在模型接觸資料前，先有資料攝取與正規化層。它應該抽取時間戳、身分、IP 位址、裝置、事件類型與來源系統等一致欄位，在有界範圍內擷取相關證據，並保留回到原始紀錄的連結。
模型應該針對挑選出的證據推理，而不是假裝一份巨大文字轉錄就是資安資料管線。
3. 合規映射可能產生幻覺
當被要求把發現映射到 NIST CSF 或 CIS Controls 時，通用 AI 特別危險。
模型可能產生看似合理、實際上過時、過於寬泛，或根本錯誤的控制項識別碼。它可能混淆框架功能與特定類別，也可能宣稱某個事件證明控制項正在運作，但證據其實只顯示相關活動曾經發生。
例如，顯示管理員未使用 MFA 登入的告警，可以支持存取控制疑慮；但它本身不能證明組織違反了框架中的所有身分控制項。
因此，合規映射需要受約束且可驗證的流程。系統應使用受控的框架分類、要求每個映射都有證據、區分已監控與未監控範圍，並避免把推論呈現成事實證明。
同樣原則也適用於態勢分數。正如我們在〈靜態儀表板已死〉中說明，有意義的分數必須連結到分組案例、嚴重性、涵蓋範圍與可解釋證據，而不是原始告警數量。
4. 把告警當成單點事件，而不是關聯案例
連接埠掃描的例子很清楚。
5,000 次防火牆拒絕可能只是一次掃描活動。如果通用 AI 把它們當成獨立列資料接收，它也許會產生一長串各自正確的觀察，甚至只因數量很大就把整體標為高嚴重性。
這不是有用的分流。
資安團隊需要案例關聯。相關告警應依意圖、身分、來源、目標、時間範圍與周邊活動分組。輸出應該像這樣：
單一外部主機在三分鐘內快速掃描對外公開的位址；目前沒有觀察到成功連線或後續入侵。
這比 5,000 份告警解釋更有用，也讓團隊更容易決定是否封鎖來源、繼續調查，或將它關閉為背景雜訊。
這是有效 AI SIEM 分流 的基礎：把重複訊號降低成少量真正代表調查工作的案例。
5. 不知道你的環境什麼才算正常
通用模型不會自動知道組織平常的身分、端點或邊界行為。
從新加坡登入，對某位員工可能很可疑，對另一位員工卻完全正常。服務帳號從新主機驗證，可能是遷移期間的預期行為，也可能是憑證濫用。管理員活動突然增加，可能只是排定的維護窗口。
沒有環境專屬基準，AI 可能產生自信但泛化的判斷，對正常活動過度反應，也可能低估對你的組織而言極不尋常的變化。
專用層應保留相關環境脈絡：已知身分、預期位置、資產角色、關鍵系統、正常活動模式與近期變更。當資料不足時，它也應該清楚表達不確定性。
目標不是讓模型聽起來更確定，而是讓決策更準確。
6. 聊天記錄不是可稽核證據
對話在調查期間可能很有幫助，但很少是交給稽核員、保險公司、主管或事件檢討人員的正確最終文件。
對話記錄不一定能說明用了哪些原始紀錄、分析何時發生、評估了哪項控制、是否存在缺口，或誰核准了修復。它也很難讓團隊逐月一致比較。
稽核員需要有證據支持的解釋，而不只是 AI 產生的結論。他們需要知道監控了什麼、發現了什麼、發現如何映射到控制項，以及涵蓋範圍有哪些限制。
因此，可直接用於稽核的報告應該內建在平台中，而不是靠截圖、試算表與聊天記錄手動拼湊。
7. 沒有行動閉環的建議，工作仍未完成
通用 AI 可以建議「隔離端點」、「停用帳號」或「輪替 token」。但如果操作人員還得把建議複製到另一個工具、找到正確資產、確認正確身分，再手動執行，流程仍然會有明顯延遲。
資安運作需要連接的行動閉環：偵測相關活動、用白話解釋風險、建議具體回應、呈現支持證據、讓獲授權的操作人員採取行動，最後記錄結果。
最後一步很重要。修復行動應成為案例歷史的一部分，而不是消失在另一個主控台或非正式訊息串裡。
做對了會是什麼樣子
真正的 AI-on-SIEM 層應該更像運作系統，而不是聊天機器人。
首先，它需要支援組織已經使用的 SIEM 工具，進行資料攝取與正規化。這一層應能接收 Microsoft Sentinel、Splunk、QRadar、Devo、Chronicle 等平台的告警與日誌，不必進行 rip-and-replace 專案。
其次，它需要持久的資安狀態，包括關聯案例、歷史態勢、資料涵蓋範圍、分析師決策、回應狀態與環境脈絡。一個會隨時間變化的分數，應該能解釋自己為什麼改變。
第三，AI 需要護欄。分流代理應依據擷取的證據、受限 schema、受控嚴重性邏輯與明確輸出欄位工作。合規代理則應以已驗證的框架參考進行映射，區分證據與解讀。
第四，平台需要兩種輸出。運作團隊需要優先佇列、白話說明、案例時間軸與修復步驟；主管與合規團隊需要趨勢、類別分數、框架對應、涵蓋缺口與可辯護的報告。
同一套底層證據應該支援這兩種視角。
SIEM+ 如何處理這件事
SIEM+ 被設計成既有 SIEM 架構上的智慧覆蓋層。它攝取告警與匯出的日誌資料、正規化重要事件脈絡，並透過 AI 代理支援分流、調查脈絡、威脅翻譯與稽核準備。進一步了解 SIEM+ 的 AI 資安覆蓋層。
SIEM+ 不再展示另一面供應商專屬事件代碼，而是把技術發現轉成白話摘要、業務影響、支持證據與優先修復建議。它的動態 0–100 安全健康分數追蹤身分、邊界、端點與基礎架構等領域，讓團隊看到比原始告警數更有意義的安全態勢。
產品也把運作與治理流程分開。AI Ops View 聚焦優先告警、事件翻譯與端點隔離等回應動作；AI Auditor View 則聚焦 NIST CSF 與 CIS 控制項映射、證據、態勢趨勢與一鍵 PDF 匯出。
SIEM+ 的目標是與組織已經使用的資安工具搭配。公開產品資訊列出的整合包括 Microsoft Sentinel、Google Chronicle、Splunk、Devo、IBM QRadar、Elastic Security 等，讓團隊不必重建既有 SIEM 基礎，就能加入 AI 資安層。
SIEM 之上的 AI 是正確方向，但架構必須正確
問題不是 AI 是否應該放在 SIEM 之上，而是它應該放在上面。
真正的問題是，這個 AI 層是否連接到資安工作的現實：持續脈絡、大量資料攝取、案例關聯、環境基準、受約束的合規映射、可稽核證據，以及行動閉環。
通用模型可以解釋一個告警；專用的 SIEM AI 平台，應該協助團隊運作圍繞這個告警的整套資安計畫。
如果你的團隊已經使用 SIEM，卻仍花費太多時間解讀告警、重建脈絡與準備報告，歡迎預約 15 分鐘 SIEM+ 示範，看看 AI 資安覆蓋層如何接入你現有的環境。